Хранилище сертификатов WIndows

С помощью оснастки «Сертификаты» можно отобразить хранилище сертификатов для пользователя, компьютера или службы в соответствии с целью, для которой сертификаты были выданы, или по категориям логических хранилищ. Когда сертификаты отображаются в соответствии с их категориями хранилища, можно также выбрать отображение физических хранилищ, показывая иерархию хранилищ сертификатов. (Это рекомендуется делать только опытным пользователям.)

Если пользователь имеет соответствующие права, он может импортировать или экспортировать сертификаты из любой папки хранилища сертификатов. Кроме того, если закрытый ключ, связанный с сертификатом, помечен как доступный для экспорта, можно экспортировать и сертификат, и ключ в файл PKCS #12.

Windows может также публиковать сертификаты в доменных службах Active Directory. Опубликование сертификата в доменных службах Active Directory позволяет всем пользователям и компьютерам, имеющим соответствующие разрешения, извлекать сертификат по мере необходимости.

13. Криптопровайдеры входящие в стандартный состав Windows 2003 Server. КриптоПро CSP.

КриптоПро CSP 3.6

Назначение:

Криптопровайдер КриптоПро CSP предназначен для:

• авторизации и обеспечения юридической значимости электронных документов при обмене ими между пользователями, посредством использования процедур формирования и проверки электронной цифровой подписи (ЭЦП) в соответствии с отечественными стандартами ГОСТ Р 34.10-94, ГОСТ Р 34.11-94, ГОСТ Р 34.10-2001;
• обеспечения конфиденциальности и контроля целостности информации посредством ее шифрования и имитозащиты, в соответствии с ГОСТ 28147-89; обеспечение аутентичности, конфиденциальности и имитозащиты соединений TLS;
• контроля целостности, системного и прикладного программного обеспечения для его защиты от несанкционированного изменения или от нарушения правильности функционирования;
• управления ключевыми элементами системы в соответствии с регламентом средств защиты.

Особенности:

• Встроенная поддержка Winlogon
• В состав КриптоПро CSP 3.6 входит Revocation Provider, работающий через OCSP-ответы
• Реализована поддержка для платформы x64 Обеспечена реализация протокола EAP/TLS
• Расширен внешний интерфейс СКЗИ для обеспечения работы с функциональным ключевым носителем (ФКН), согласования ключей для использования в реализациях протокола IPSec, работы с другими приложениями
• Исключена возможность использования стандарта ГОСТ Р 34.10-94

Реализуемые алгоритмы:

Алгоритм выработки значения хэш-функции реализован в соответствии с требованиями ГОСТ Р 34.11 94 "Информационная технология. Криптографическая защита информации. Функция хэширования".
Алгоритмы формирования и проверки ЭЦП реализованы в соответствии с требованиями:

• ГОСТ Р 34.10 94 "Информационная технология. Криптографическая защита информации. Система электронной цифровой подписи на базе асимметричного криптографического алгоритма";
• ГОСТ Р 34.10 94 и ГОСТ Р 34.10-2001 "Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи".

Алгоритм зашифрования/расшифрования данных и вычисление имитовставки реализованы в соответствии с требованиями ГОСТ 28147 89 "Системы обработки информации. Защита криптографическая".
При генерации закрытых и открытых ключей обеспечена возможность генерации с различными параметрами в соответствии с ГОСТ Р 34.10-94 и ГОСТ Р 34.10-2001.
При выработке значения хэш-функции и шифровании обеспечена возможность использования различных узлов замены в соответствии с ГОСТ Р 34.11-94 и ГОСТ 28147-89.

Длина ключей электронной цифровой подписи:

• закрытый ключ - 256 бит;
• открытый ключ
• 512 бит при использовании алгоритма ГОСТ Р 34.10-2001
• 1024 бита при использовании алгоритма ГОСТ Р 34.10-94

Длина ключей, используемых при шифровании:

• закрытый ключ - 256 бит;
• открытый ключ
• 512 бит на базе алгоритма ГОСТ Р 34.10-2001
• 1024 бита на базе алгоритма ГОСТ Р 34.10-94
• симметричный ключ - 256 бит;

Криптопровайдеры Microsoft

Во все операционные системы Microsoft, начиная с Windows 2000 встроен криптопровайдер Microsoft Base Cryptographic Provider, который обладает набором основных криптографических функций. В Microsoft Base Cryptographic Provider длина ключей шифрования не превышает 40 бит. Так как до января 2000 года в США существовал запрет на экспорт программного обеспечения для шифрования с использованием ключей длиной более 40 бит, то в Windows 98 и ранних версиях Windows 2000 существовала поддержка только этого криптопровайдера.Microsoft Base Cryptographic Provider по сути является урезанным вариантом Microsoft Enhanced Cryptographic Provider. Но после отмены запрета на экспорт стало бессмысленно иметь 2 криптопровайдера, поэтому программисты Microsoft ввели еще одно название — Microsoft Strong Cryptographic Provider, который ничем не отличается от Microsoft Enhanced Cryptographic Provider. Этот криптопровайдер является криптопровайдером по умолчанию типа PROV_RSA_FULL в Windows 2000, Windows XP, Windows 2003.

Все криптопровайдеры Microsoft могут быть скачаны с сайта Microsoft.

Криптопровайдер	Имя криптопровайдера	Тип	Комментарий
Microsoft Base Cryptographic Provider	MS_DEF_PROV	PROV_RSA_FULL	Имеет широкий набор основных криптографических функций. Длина ключей шифрования не превышает 40 бит.
Microsoft Strong Cryptographic Provider	MS_STRONG_PROV	PROV_RSA_FULL	Отличается от Microsoft Base Cryptographic Provider поддержкой больших длин ключей.
Microsoft Enhanced Cryptographic Provider	MS_ENHANCED_PROV	PROV_RSA_FULL	Ничем не отличается от Microsoft Strong Cryptographic Provider. Является криптопровайдером по умолчанию.
Microsoft AES Cryptographic Provider	MS_ENH_RSA_AES_PROV	PROV_RSA_AES	= Microsoft Enhanced Cryptographic Provider с поддержкой AES
Microsoft DSS Cryptographic Provider	MS_DEF_DSS_PROV	PROV_DSS	Хеширование, подпись, проверка подписи с поддержкой алгоритма DSS.
Microsoft Base DSS and Diffie-Hellman Cryptographic Provider	MS_DEF_DSS_DH_PROV	PROV_DSS_DH	Хеширование, подпись DSS, генерация и обмен ключами Диффи-Хеллмана. Поддерживает генерацию ключей для протоколов SSL3 и TLS1.
Microsoft Enhanced DSS and Diffie-Hellman Cryptographic Provider	MS_ENH_DSS_DH_PROV	PROV_DSS_DH	То же, что и Microsoft Base DSS and Diffie-Hellman Cryptographic Provider с поддержкой больших длин ключей.
Microsoft DSS and Diffie-Hellman/Schannel Cryptographic Provider	MS_DEF_DH_SCHANNEL_PROV	PROV_DH_SCHANNEL	Хеширование, подпись DSS, генерация и обмен ключами Диффи-Хеллмана. Поддерживает генерацию ключей для протоколов SSL3 и TLS1.
Microsoft RSA/Schannel Cryptographic Provider	MS_DEF_RSA_SCHANNEL_PROV	PROV_RSA_SCHANNEL	Хеширование, подпись, проверка подписи. Используется для аутентификации в протоколах SSL 3.0 and TLS 1.0.
Microsoft RSA Signature Cryptographic Provider	MS_DEF_RSA_SIG_PROV	PROV_RSA_SIG	Минимальная функциональность, необходимая для электронной подписи и проверки ЭЦП.

14. Строение и возможности Crypto API. Cтандарт PKCS #7 (RFC 2315). Обзор объекта CAPICO.

Задачи, на решение которых ориентирован Crypto API:

• надежное сокрытие данных;
• возможность передачи сокрытых данных третьим лицам;
• надежная система проверки достоверности пришедшей от третьих лиц информации;
• расшифровывание полученных конфиденциальных данных;
• работа с «идентификационными удостоверениями» третьих лиц;
• обеспечение работы с признанными криптографическими стандартами;
• возможность расширения и работы с пока еще неизвестными алгоритмами.

В Crypto API задачу расширения решили довольно элегантно. Реализация всех алгоритмов (шифрования, цифровой подписи и т.п.) полностью выведена из состава самого Crypto API и реализуется в отдельных, независимых динамических библиотеках – «криптопровайдерах» (Cryptographic Service Provider – CSP). Сам же Crypto API просто предъявляет определенные требования к набору функций (интерфейсу) криптопровайдера и предоставляет конечному пользователю унифицированный интерфейс работы с CSP. Конечному пользователю для полноценного использования всех функций криптопровайдера достаточно знать его строковое имя и номер типа.

Кроме задачи расширения одной из основных задач Crypto API является возможность однозначной идентификации передающей/принимающей стороны в протоколе передачи данных. Общепризнанным решением в данном вопросе является использование механизма сертификатов. Сертификаты как бы стали «цифровыми паспортами», несущими информацию о своих владельцах. Большинство функций Crypto API, работающих с передаваемыми данными, так или иначе, используют сертификаты в своей работе.

5 функциональных групп интерфейса Crypto API:

1. Базовые криптографические функции:

• функции шифрования/расшифровывания данных;
• функции хеширования и получения цифровой подписи данных;
• функции инициализации криптопровайдера и работы с полученным контекстом;
• функции генерации ключей;
• функции обмена ключами.

2. Функции кодирования/декодирования. Под кодированием в данном случае подразумевается получение на выходе информации, кодированной в формате ASN.1 (Abstract Syntax Notation One).

3. Функции работы с сертификатами.

4. Высокоуровневые функции обработки криптографических сообщений.

5. Низкоуровневые функции обработки криптографических сообщений.

PKCS#7 (Public-Key Cryptography Standard #7), или CMS (Cryptographic Message Syntax) – стандарт, синтаксис которого описывает способы формирования криптографических сообщений, в результате чего сообщение становится полностью самодостаточным для его открытия и выполнения всех необходимых операций.

С этой целью в PKCS#7 размещается информация об исходном сообщении (опционально), алгоритмах хеширования и подписи, параметрах криптоалгоритмов, времени подписи, сертификат ключа электронной подписи, цепочка сертификации и т. д.

Большинство атрибутов PKCS#7 являются опциональными, но их обязательность может определяться прикладной системой.

Отдельно следует отметить, что PKCS#7 позволяет ставить несколько подписей под одним документом, сохраняя всю необходимую информацию в сообщении.